Co widzi NetSenX po tym, jak ktoś kliknie link phishingowy?

NetSenX widzi, co urządzenie robi potem w sieci, a nie sam e-mail czy kliknięcie. Nie czyta treści poczty i nie odszyfrowuje ruchu. Co może pokazać w każdym planie: urządzenie, które zaczyna regularne, rytmiczne połączenia z zewnętrznym serwerem, z którego nigdy wcześniej nie korzystało (beaconing); urządzenie, które zaczyna skanować inne maszyny; połączenia między hostami wewnętrznymi wskazujące na ruch boczny; oraz nietypowe wolumeny danych opuszczających sieć. Tam, gdzie agent przechwytuje pakiety, na Linuksie lub przez port lustrzany (SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor.), plany od Starter pokazują też odciski TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS., które pomagają wyłowić narzędzia niepasujące do zwykłego oprogramowania urządzenia. Alerty podają technikę MITRE ATT&CK, a od planu Starter zawierają też rekomendacje reakcji. Jeśli phishing tylko wykradnie logowanie do chmury, którego napastnik potem używa z własnego komputera, nic z tego ruchu nie przechodzi przez Twoją sieć, a właściwym miejscem do sprawdzenia są logi logowań u dostawcy tożsamości.

← Wszystkie pytania (29): Phishing i skutki ataków e-mailowychWszystkie tematy